Merci pour votre commentaire.

Webex MeetingsServices et composants de base

• Webex Meetingsen fait partieWebex Suite, qui propose des conférences audio/vidéo avec partage de contenu et fonctionnalités de conférence Web.
• La plateforme inclut plusieurs microservices tels que le service de réunions, le service de webinaires, le service d'identité, le service d'enregistrement, le service d'analyse, le service administratif et le service multimédia. AI Assistant
• Webex Meetingsprend en charge les applications et les appareils enregistrés dans le cloud, permettant aux utilisateurs de participer à des réunions depuis différents systèmes d'exploitation et appareils. Les utilisateurs peuvent également participer à des réunions via le PSTN et via des points de terminaison SIP.

Architecture et déploiement

• Webex Meetingsles services sont régionalisés et répliqués dans plusieurs centres de données indépendants pour garantir la redondance et la haute disponibilité.
• Les services multimédia sont distribués dans le monde entier grâce à des clusters de serveurs multimédia dans chaque centre de données, assurant ainsi une redondance locale et géographique.
• Les serveurs multimédia gèrent la voix, les vidéos et le partage de contenu, les médias étant généralement cryptés à l'aide de la norme AES-256-GCM.
• L'architecture prend en charge la signalisation cryptée via TLS/HTTPS et les flux multimédia cryptés.

Webex permet de participer à des réunions depuis de multiples plateformes et appareils, notamment :

• Application de bureau Webex pour Windows, Mac et Linux.
• Application mobile Webex sur Android et iOS.
• Application Web Webex utilisant Chrome, Edge, Safari, Firefox et d'autres navigateurs.
• Appareils de salle et appareils de bureau Cisco.
• Terminaux audio et vidéo tiers basés sur les normes SIP.
• Appareils PSTN.

Souveraineté des clients Webex

En réponse à la demande croissante de résidence des données, Webex a mis en place des fonctionnalités de souveraineté renforcées. En commençant par l'enregistrement et en proposant d'autres services à venir, les organisations peuvent désormais contrôler le contenu de leurs réunions grâce à :

• Traitement localisé : traitement du contenu des réunions, comme les enregistrements, au sein de leur propre infrastructure.
• Stockage sur site : ils utilisent leurs propres services de stockage de fichiers pour héberger les ressources sensibles des réunions, en veillant à ce que les données restent dans les limites géographiques ou organisationnelles spécifiées.

Ultra sécurisé Webex Meetings

Historiquement, les fonctionnalités « ultra sécurisées », telles que le chiffrement de bout en bout Zero Trust (E2EE), nécessitaient souvent un compromis en termes de fonctionnalité des réunions, car les services à valeur ajoutée basés sur le cloud nécessitaient l'accès à des clés de cryptage, et seul un nombre limité de types de terminaux pouvaient participer à ces réunions. Webex a éliminé ce compromis avec :

• Zero Trust, riche en fonctionnalités — Webex a transformé les réunions cryptées de bout en bout (E2EE) Zero Trust en y ajoutant des fonctionnalités qui enrichissent les réunions Zero Trust. La prise en charge d'un plus grand nombre de types de terminaux permet une expérience fluide sans sacrifier les outils nécessaires à une collaboration moderne.
• Zero Trust for Standard Meetings — Webex a intégré les fonctionnalités Zero Trust E2EE directement aux réunions standard. Cela garantit que même la collaboration quotidienne peut bénéficier des plus hauts niveaux de sécurité, en fournissant une protection constante à l'ensemble de l'écosystème Webex.

Une approche unifiée de la collaboration

En intégrant la souveraineté client à ces fonctionnalités avancées Zero Trust E2EE, Webex permet aux organisations d'atteindre un double objectif : organiser des réunions Zero Trust hautement sécurisées sur le cloud Webex tout en conservant le contrôle total sur le traitement et le stockage du contenu critique des réunions sur site. Cette synergie apporte la flexibilité et la sécurité nécessaires aux environnements d'entreprise modernes et axés sur la conformité.

Étendre les limites de sécurité avec Video Mesh Node

L'ajout d'un nœud Video Mesh à une organisation permet aux clients de fournir des services de réunion sur site et permet à leurs terminaux locaux de participer à n'importe quelle réunion Webex. Du point de vue de la sécurité, l'intégration d'un nœud Video Mesh permet de maintenir Zero Trust dans le cloud Webex tout en offrant des fonctionnalités quasiment identiques à celles des réunions Webex standard. Les clients bénéficient également de la souveraineté des données, car des services tels que les enregistrements des réunions Video Mesh Node sont traités et stockés sur site.

L'utilisation du cryptage de bout en bout Zero Trust peut ajouter quelques secondes à la participation à une réunion, mais cela fournit une garantie de sécurité claire : seuls les participants à la réunion ont accès aux clés de cryptage de la réunion, de sorte que le contenu de la réunion ne peut pas être déchiffré par le fournisseur de services ou d'autres intermédiaires.

Résumé : Webex Meetings et modèles de déploiement hybrides

Comme le montre la comparaison ci-dessus, le déploiement de Video Mesh Node (VMN) permet à Zero Trust d'atteindre la quasi-parité des fonctionnalités par rapport Webex Meetings aux réunions Webex standard. Bien que les réunions Zero Trust ne prennent pas en charge les participants au PSTN, l'application Web Webex constitue une alternative largement disponible pour un accès crypté de bout en bout. En outre, VMN permet aux employés de bureau qui utilisent des téléphones de bureau de participer facilement aux réunions Zero Trust.

Video Mesh Node garantit également la souveraineté des données pour le contenu essentiel des réunions, y compris les enregistrements et, dans un avenir proche, les transcriptions, les résumés et les mesures à prendre. En traitant et en stockant ces données sur site, VMN permet à ses clients de contrôler totalement leurs informations tout en maintenant une architecture Zero Trust dans le cloud Webex.

Signalisation Webex cryptée

Les services Webex prennent en charge les versions 1.2 et 1.3 du protocole TLS, le protocole TLS 1.3 étant préféré lorsqu'il est pris en charge par le point de terminaison connecté. Si un client ne prend en charge que le protocole TLS 1.2, le serveur Webex sélectionne la suite de chiffrement la plus puissante proposée par le client. Contrairement à TLS 1.2, le TLS 1.3 n'utilise pas la sélection de suites de chiffrement selon les préférences du serveur, car elle repose sur un ensemble de chiffrements modernes plus restreint et organisé. Ce design simplifie le processus de sélection en se concentrant davantage sur l'amélioration des performances, par exemple en réduisant la durée totale de la poignée de main, tout en garantissant une sécurité renforcée. Les suites de chiffrement pour TLS 1.2 et 1.3 utilisées par Webex sont bien définies et classées par ordre de priorité afin de garantir la sécurité des communications.

Suites de chiffrement TLS

Suites de chiffrement TLS 1.3 (les serveurs TLS 1.3 n'utilisent pas d'ordre de préférence pour la sélection des suites)

Suites de chiffrement TLS 1.2 (suites classées par ordre de préférence pour les serveurs)

Les chiffrements AES_256_CBC et AES_128_CBC sont pris en charge afin de garantir la compatibilité avec les systèmes existants, les anciens navigateurs et les appareils intégrés qui ne prennent pas en charge les chiffrements AEAD (Authenticated Encryption with Associated Data) modernes tels que AES-GCM, par exemple Internet Explorer11 sur Windows 7 et Windows 8.1, Safari 6/7/8 sur les premières versions d'iOS et de macOS utilisent des chiffrements basés sur la CBC.

Le CHACHA20_POLY1305 est un chiffrement par flux qui dépend peu du matériel. Il est donc idéal pour les appareils mobiles ou les appareils dotés de processeurs à faible consommation d'énergie.

Normes de cryptage multimédia pour Webex

Les réunions et les appels Webex utilisent un cryptage robuste basé sur AES pour tous les paquets multimédia. La suite de chiffrement spécifique dépend du type de point de terminaison, l'AES-256-GCM étant la norme préférée pour une sécurité optimale.

Principales considérations de sécurité

• Preferred Standard —AES-256-GCM est le chiffrement recommandé pour tous les déploiements afin de garantir le plus haut niveau d'intégrité et de confidentialité des données.
• Interopérabilité — Bien que Webex continue de prendre en charge les anciens chiffrements (tels que AES-CM-128-HMAC-SHA1) afin de garantir l'interopérabilité avec les systèmes SIP et H.323 tiers, les organisations qui privilégient une architecture Zero Trust devraient appliquer l'AES-256-GCM là où la compatibilité des appareils le permet.

Protocoles de transport multimédia

Webex prend en charge le transport multimédia via UDP, TCP ou TLS. Pour des performances audio et vidéo optimales, Cisco recommande vivement l'UDP.

Considérations relatives aux performances :

• Efficacité en temps réel — L'UDP est le moyen de transport préféré pour les médias en temps réel, car il minimise la latence et la gigue en évitant les mécanismes de retransmission et de mise en mémoire tampon inhérents aux protocoles orientés connexion.
• Impact du TCP/TLS — Bien que le TCP et le TLS fournissent des données fiables et ordonnées, ce comportement est contreproductif pour les médias en temps réel. Les retransmissions de paquets et la mise en mémoire tampon des flux qui en résultent introduisent de la latence et de la gigue, ce qui peut dégrader de manière significative la qualité de l'expérience des participants

Utilisation du SRTP et du SFrame par Webex pour les médias

Pour respecter les normes de sécurité élevées requises pour les environnements WebExZero Trust, il est important de faire la distinction entre la sécurité au niveau du transport (SRTP) et le cryptage de bout en bout de la couche application (SFrame).

Principales caractéristiques techniques : SRTP et SFrame

1. Protocole de transport sécurisé en temps réel (SRTP)

   Le SRTP est la norme du secteur en matière de sécurisation des flux multimédia en transit.

   • Champ d'application : il assure la confidentialité, l'authentification des messages et la protection contre les rediffusions pour la charge utile RTP.
   • Contexte opérationnel — Dans de nombreuses architectures, le serveur multimédia/passerelle multimédia (unité de transfert sélectif (SFU)) met fin à la connexion SRTP pour effectuer le traitement multimédia (par exemple, le mixage, la composition de la mise en page ou le transcodage). Comme la SFU déchiffre les médias pour les traiter, ceux-ci sont techniquement vulnérables au stade SFU.
2. SFrame (cadre sécurisé)

   SFrame est un standard de l'IETF. La RFC 9605 est spécialement conçue pour permettre un véritable chiffrement de bout en bout dans un environnement de conférence multipartite.

   • Champ d'application : il chiffre les trames multimédia mises en paquets avant qu'elles ne soient encapsulées dans des paquets RTP. Webex ajoute une couche de cryptage supplémentaire grâce au protocole SRTP.
   • Architecture Zero Trust — Comme les médias sont cryptés au niveau de la couche applicative, le SFU agit uniquement comme un relais « aveugle ». Il achemine les paquets cryptés vers les autres participants sans jamais avoir accès aux clés de déchiffrement.
   • Independence —SFrame est indépendant des transports. Il reste sécurisé même si le transport sous-jacent (UDP/TCP/TLS) est compromis, car le contexte de sécurité est lié aux terminaux des participants plutôt qu'à la connexion de transport.

Le SFrame est le mécanisme essentiel qui permet l'E2EE. Alors que le SRTP garantit le chiffrement des données lorsqu'elles transitent sur le réseau, le SFrame veille à ce que les médias restent cryptés pendant tout le cycle de vie de la réunion, y compris lorsqu'ils se trouvent sur l'infrastructure de Cisco (le SFU), éloignant ainsi le fournisseur de services de la limite de confiance.

Webex MeetingsContenu

Le contenu de la réunion est constitué de données créées par les participants ou générées par les services Webex pour le compte de l'hôte de la réunion. Cela inclut :

• Contenu lié aux médias : enregistrements, transcriptions, résumés et mesures à prendre.
• Données de collaboration : messages de discussion, fichiers partagés/transférés, tableaux blancs et annotations.

Webex MeetingsSécurité du contenu : chiffrement Webex de bout en bout

Webex sécurise le contenu des réunions généré par les participants à l'aide d'un cadre robuste de cryptage de bout en bout (E2EE). Au cœur de cette architecture se trouve le Webex Key Management Service (KMS), qui est chargé de générer, de distribuer et de gérer les clés de cryptage pour tous les contenus générés par les utilisateurs.

Rencontrer les niveaux de sécurité du contenu

• Données en transit — L'application Webex et les appareils vidéo Cisco utilisent le cryptage Webex de bout en bout (E2EE) avec AES-256-GCM pour crypter le contenu des réunions généré par les utilisateurs, tel que les fichiers d'enregistrement, les fichiers de résumé de l'IA, les messages de discussion, etc. Cela est encore encapsulé dans le Transport Layer Security (TLS) afin de fournir une protection double couche pendant la transmission.
• Data at Rest — Une fois stocké dans le cloud Webex, le contenu crypté est également protégé par le cryptage sur disque AES-256-GCM.
• Profil de protection — Cette approche protège le contenu de l'interception TLS pendant le transit et garantit que les données stockées restent inaccessibles aux acteurs non autorisés dans l'environnement cloud.

Chiffrement Webex de bout en bout avec accès au contenu géré pour les services principaux

Contrairement au cryptage de bout en bout Zero Trust, où Webex n'a pas accès aux médias ou aux clés de cryptage du contenu, le cryptage de bout en bout Webex permet à la plateforme d'utiliser les clés générées par Webex KMS pour déchiffrer les données destinées aux services de base essentiels. Cet accès géré permet :

• Recherche et indexation : permet aux utilisateurs de faire des recherches dans l'historique du contenu.
• Conformité et gouvernance : permet la prévention des pertes de données (DLP), la découverte électronique et l'archivage des données.
• Optimisation des médias : prend en charge le transcodage des fichiers pour une compatibilité entre appareils.
• Sécurité : facilite la détection des malwares à l'aide de l'Extended Security Pack.

Webex MeetingsMétadonnées

Les métadonnées des réunions comprennent les informations administratives et techniques générées par le système pour faciliter, suivre et gérer une réunion, plutôt que le contenu proprement dit (audio, vidéo ou fichiers partagés) de la réunion elle-même. Les métadonnées peuvent être classées en plusieurs catégories :

• Informations sur la session : titre de la réunion, identifiant de la réunion, heures de début et de fin prévues et durée réelle de la réunion.
• Données des participants : liste des invités et des participants réels, leurs adresses IP, leurs types d'appareils (tels que Windows, iPhone, Cisco Room Kit) et leur horodatage d'adhésion et de départ.
• Indicateurs d'utilisation et de qualité : données utilisées pour résoudre les problèmes, tels que la perte de paquets, la gigue, la latence et la résolution du flux vidéo.

Comment les métadonnées sont utilisées

1. Analyses et rapports — Les administrateurs utilisent les métadonnées de WebExControl Hub pour connaître le nombre de réunions en cours, les services les plus actifs et la qualité globale de l'expérience.
2. Résolution des problèmes — Cisco TAC (Le centre d'assistance technique) utilise des métadonnées pour identifier et résoudre les problèmes liés aux réunions.
3. Conformité et découverte électronique : les responsables de la conformité peuvent rechercher des métadonnées pour prouver qu'une réunion a eu lieu, qui y a participé et si elle a été enregistrée, même s'ils ne peuvent pas voir le contenu crypté de la réunion.
4. Sécurité — Les métadonnées permettent d'identifier les tentatives d'accès non autorisées ou les schémas inhabituels susceptibles d'indiquer une menace pour la sécurité.

Sécurité et confidentialité des métadonnées

• Chiffrement — Bien que les métadonnées ne soient pas « cryptées de bout en bout », elles sont tout de même cryptées en transit (à l'aide du protocole TLS) et au repos dans les centres de données sécurisés de Cisco.
• Contrôle d'accès : les politiques de confidentialité de Cisco limitent strictement l'accès à ces métadonnées, qui sont utilisées pour fournir et améliorer le service.

Pour plus d'informations sur le contenu et les métadonnées des réunions Webex, consultez la divulgation de l'Webex Meetingsoffre.

Attribuer des types de sessions de réunion aux utilisateurs

Les administrateurs du Webex Control Hub peuvent attribuer un ou plusieurs types de réunions que leurs utilisateurs peuvent utiliser pour les réunions planifiées. Par défaut, les types de réunion Pro Meeting et Pro-End to End Encryption_VoipOnly sont attribués à tous les utilisateurs.

Planifier un rendez-vous : sélectionnez le type de réunion

Les utilisateurs peuvent sélectionner le type de réunion qu'ils souhaitent utiliser pour planifier une réunion depuis l'application Webex, la page utilisateur Webex et le complément de messagerie Webex pour. Microsoft Outlook

Planifier un rendez-vous : sélectionnez le type de réunion dans l'application Webex

Planifier une réunion : sélectionnez le type de réunion sur la page utilisateur de Webex

Définir un type de réunion par défaut

Les utilisateurs peuvent définir leur type de réunion par défaut depuis Réunions > Paramètres sur leur page utilisateur Webex.

Définissez le type de réunion par défaut sur la page utilisateur de Webex

Identité Zero Trust de bout en bout et prévention des Deepfake

Les certificats d'identité d'utilisateur final fournis par les clients sont essentiels pour empêcher l'usurpation d'identité lors des réunions Webex cryptées de bout en bout (E2EE). Contrairement aux mécanismes traditionnels de blocage des deepfake qui reposent sur l'analyse des flux audio et vidéo, cette approche permet de valider l'identité cryptographique au moment de l'admission. Ce statut vérifié est affiché directement dans la liste des réunions, pour plus de transparence pour tous les participants.

Webex a étendu sa prise en charge des certificats gérés par les clients, auparavant disponibles sur les appareils RoomOS, à l'application Webex dans le cadre de notre fonctionnalité de « prévention des Deepfake ». Les organisations peuvent fournir et gérer leurs propres certificats numériques, émis par des autorités de certification externes de confiance en utilisant des protocoles standard tels que l'ACME. Ces certificats, basés sur les normes X.509 et les paires de clés ECDSA P-256, fournissent une preuve cryptographique de l'identité des participants lors des réunions E2EE.

Identité vérifiée de bout en bout et protocole MLS

Le protocole Messaging Layer Security (MLS) utilise des certificats X.509 standard pour authentifier les participants aux réunions. Un certificat est une déclaration signée numériquement par une autorité de certification de confiance qui vérifie l'identité du détenteur de la clé. Les participants obtiennent ces certificats de deux manières principales :

• Appareils gérés (certificats fournis par le client) — Pour les clients de bureau et mobiles gérés par l'entreprise, un certificat d'identité émis par une autorité de certification fiable peut être installé sur l'appareil. Lorsqu'un utilisateur se connecte à l'aide de l'authentification unique (SSO), l'application Webex récupère ce certificat sur le Trust Store du système d'exploitation pour présenter son identité vérifiée. Ce processus est également pris en charge pour les appareils vidéo Cisco enregistrés sur le cloud Webex.
• Par défaut (certificats fournis par Webex) — Si aucun certificat fourni par le client n'est disponible, le client ou l'appareil Webex utilise automatiquement un certificat émis par le WebexCertificate Authority, qui reflète une identité vérifiée par Cisco.

Partage d'identité et mécanisme de repli

Lors d'une réunion, chaque participant partage son certificat d'identité Webex et, le cas échéant, le certificat d'identité fourni par le client avec tous les autres participants. Pour garantir une connectivité fluide, le point de terminaison Webex suit une hiérarchie stricte : il donne la priorité au certificat fourni par le client à des fins de vérification ; si ce certificat est manquant ou échoue à être validé, le système revient automatiquement au certificat d'identité fourni par Webex.

Affichage de l'état de vérification de l'identité des utilisateurs

Lorsque des participants rejoignent une réunion à l'aide de l'application Webex ou d'appareils RoomOS munis de certificats fournis par le client, leur identité est vérifiée par les autres membres de la réunion auprès de l'autorité de certification émettrice. Cela garantit que seuls les utilisateurs autorisés sont reconnus, empêchant ainsi les attaquants de se faire passer pour des participants légitimes, car ces certificats sont uniquement liés à des identités vérifiées et ne peuvent pas être falsifiés par Cisco ou des intermédiaires.

La liste des participants à une réunion cryptée E2E indique le statut de vérification d'identité de chaque utilisateur :

• Vérifié Zero-Trust E2E ( domain.com) — Lorsqu'un certificat d'identité fourni par le client est utilisé, le domaine du participant est affiché en bleu. Cela indique une véritable identité vérifiée E2E que Cisco ne peut pas falsifier. Par exemple, dans la liste des réunions, vous pouvez voir que « Kevin » possède une adresse e-mail vérifiée provenant de example.com en bleu.
• Vérifié par Webex ( domain.com) — Les certificats émis par une autorité de certification Webex offrent un niveau de protection plus limité. Bien que leur identité ne soit pas protégée, ces participants ne sont pas marqués comme « Zero Trust E2E vérifié ». Au lieu de cela, leur statut d'identité est affiché en texte gris, ce qui indique que leur identité a été vérifiée par le Webex CA.
• Utilisateur invité non vérifié ( Non vérifié) — Bien que l'identité des participants invités ne soit pas authentifiée (car il n'y a pas de processus de connexion), ils ont tout de même besoin d'un certificat pour rejoindre le groupe MLS lors d'un appel ou d'une réunion. Ce certificat est délivré par une autorité de certification Webex et utilise « anonyme » comme nom d'utilisateur.

De plus, un code de sécurité des réunions dérivé de l'état cryptographique de tous les participants aide à détecter les attaques par personne intermédiaire en permettant aux participants de vérifier que tout le monde partage le même contexte de réunion sécurisé. En combinant la vérification d'identité cryptographique et le cryptage de bout en bout, cette fonctionnalité de « prévention des Deepfake » constitue une défense robuste contre l'usurpation d'identité et les menaces liées aux médias synthétiques, préservant ainsi l'intégrité et la confidentialité des réunions sur l'application Webex et les appareils RoomOS.

Gérer le déploiement des certificats

Les organisations peuvent simplifier le déploiement et la gestion de ces certificats d'identité d'utilisateur final fournis par les clients en les installant sur des appareils gérés par l'entreprise à l'aide des applications de gestion des appareils mobiles (MDM), de gestion des applications mobiles (MAM) ou de gestion de la mobilité d'entreprise (EMM). Ces plateformes de gestion permettent aux administrateurs informatiques de fournir, de configurer et de contrôler de manière centralisée les certificats et les politiques de sécurité associées sur un large éventail d'appareils, qu'ils appartiennent à l'entreprise ou à des particuliers. Par exemple, Microsoft Intune prend en charge les fonctionnalités MDM et MAM qui permettent aux organisations de déployer et de gérer l'application Webex et ses configurations de sécurité, y compris les certificats d'identité, sur les appareils gérés. De même, Cisco Meraki Systems Manager fournit des fonctionnalités MDM pour inscrire des appareils, envoyer des profils de configuration et déployer des certificats afin de garantir le statut fiable des appareils. L'utilisation de ces solutions de gestion permet de réduire les frais administratifs, de simplifier la gestion du cycle de vie des certificats et d'améliorer la sécurité des réunions Webex E2EE grâce à des fonctionnalités de « prévention Deepfake ».

Les trois piliers de l'identité

La gestion efficace des identités et des accès (IAM) pour Webex repose sur :

• Provisioning (CRUD) : gestion du cycle de vie des utilisateurs (création, lecture, mise à jour, suppression) pour s'assurer que la « source de vérité » correspond à la plateforme de collaboration.
• Authentification (AuthN) : vérification de l'identité de l'utilisateur à l'aide d'informations d'identification sécurisées ou de jetons.
• Autorisation (AuthZ) : définition des autorisations granulaires et des niveaux d'accès aux API après l'authentification.

Approvisionnement et gestion du cycle de vie

Webex propose plusieurs méthodes pour synchroniser les utilisateurs et les groupes :

• SCIM 2.0 : la norme cloud préférée. Il automatise le cycle de vie des utilisateurs, en garantissant que l'offboarding dans l'IdP révoque automatiquement l'accès à Webex.
• Directory Connector : un outil Cisco pour les environnements hybrides, qui permet de relier les environnements locaux Active Directory (AD) au Webex Cloud.
• Approvisionnement basé sur des API : utilise l' « API People » Webex pour la création programmatique d'utilisateurs et l'attribution de licences dans des environnements complexes.
• LDAP traditionnel : pris en charge pour les annuaires locaux (par exemple, CUCM), mais moins optimisé pour le trafic cloud moderne.

Cadres d'authentification et d'autorisation

• Authentification (AuthN) :

• SAML 2.0 : la norme d'entreprise pour l'authentification unique (SSO). Webex agit en tant que fournisseur de services (SP) et valide les assertions XML provenant de l'IdP de l'entreprise.
• OIDC (OpenID Connect) : une couche d'identité moderne et légère basée sur OAuth 2.0 à l'aide de jetons Web JSON (JWT). Il prend en charge les « URL de découverte » pour une configuration automatique.

• Autorisation (AuthZ) :

• OAuth 2.0 : gère l'accès aux API via des jetons d'accès de courte durée (définition des étendues) et des jetons d'actualisation de longue durée. Il renforce la sécurité via PKCE (Proof Key for Code Exchange) pour les clients publics.

Intégration et stratégies multi-IDP

Webex propose des solutions spécialisées pour une intégration fluide :

• Entra ID Wizard : le chemin recommandé pour les environnements Microsoft. Il utilise l'API Microsoft Graph pour la synchronisation avancée des attributs (avatars, hiérarchies) et automatise la configuration OIDC/SAML.
• Duo Security : ajoute une « sécurité d'identité continue » en vérifiant la position de l'appareil et en activant le MFA résistant au phishing.

Prise en charge de plusieurs IdP : Webex permet aux organisations de fédérer plusieurs IdP indépendants au sein d'un seul Control Hub.

• Cas d'utilisation : fusions, acquisitions ou services informatiques décentralisés.
• Routage : les demandes d'authentification sont acheminées en fonction de domaines ou de groupes d'utilisateurs.
• Considération : nécessite une coordination stricte pour maintenir des politiques de sécurité cohérentes sur toutes les sources fédérées.

Exemple des intégrations d'identité IdP les plus courantes avec Webex :

Meilleures pratiques et résilience

• Restauration SSO : utilisez toujours le lien « Restauration SSO » intégré à Control Hub pour contourner l'authentification unique par un mot de passe à usage unique (OTP) en cas d'échec de la configuration de l'IdP.
• Gestion des certificats : surveillez l'expiration des certificats SAML. L'assistant SSO automatise l'échange de métadonnées, réduisant ainsi les erreurs manuelles.
• Résolution des problèmes : utilisez l'outil SAML Tracer pour inspecter les assertions XML et valider les formats NameID en cas de problème d'authentification.
• Position de sécurité : Supprimez régulièrement les types de subventions existants et veillez à ce que PKCE soit implémenté pour toutes les intégrations de clients publics.

Conclusion : Identité pour Webex Meetings

Une stratégie d'identité robuste est un processus de cycle de vie continu. En combinant SCIM pour l'approvisionnement, OIDC/SAML pour l'authentification et OAuth pour les autorisations, les organisations peuvent garantir une expérience sécurisée et fluide aux utilisateurs tout en maintenant un contrôle administratif strict.

Cycle de développement sécurisé Cisco

Chez Cisco, la sécurité n'est pas une question secondaire. Il s'agit d'une approche disciplinée qui permet de créer et de fournir des produits et services de renommée mondiale à partir de zéro. Toutes les équipes de développement de produits Cisco ^® sont tenues de suivre le cycle de vie de développement sécurisé de Cisco. Il s'agit d'un processus reproductible et mesurable conçu pour améliorer la résilience et la fiabilité des produits Cisco. La combinaison d'outils, de processus et de formations de sensibilisation introduites à toutes les phases du cycle de développement permet de garantir une défense approfondie. Il propose également une approche holistique de la résilience des produits. L'équipe de développement des produits Webex suit ce cycle de vie avec passion dans tous les aspects du développement des produits.

En savoir plus sur le cycle de vie du développement sécurisé.

Outils de sécurité fondamentaux de Cisco

L'organisation de sécurité et de confiance Cisco fournit le processus et les outils nécessaires qui permettent à chaque développeur d'adopter une position cohérente lorsqu'il est confronté à une décision de sécurité.

Le fait de disposer d'équipes dédiées à la création et à la fourniture de tels outils permet de lever les incertitudes liées au processus de développement des produits.

Voici quelques exemples d'outils :

• Exigences de base de sécurité des produits (PSB) auxquelles les produits doivent se conformer
• Outils de création de menaces utilisés lors de la modélisation des menaces
• Directives de codage
• Des bibliothèques validées ou certifiées que les développeurs peuvent utiliser au lieu d'écrire leur propre code de sécurité
• Outils de test des vulnérabilités de sécurité (pour l'analyse statique et dynamique) utilisés après le développement pour détecter les failles de sécurité
• Suivi des logiciels qui surveille les bibliothèques Cisco et tierces et informe les équipes produit lorsqu'une vulnérabilité est identifiée

Structure organisationnelle qui renforce la sécurité des processus Cisco

Cisco a mis en place des services dédiés chargés de mettre en place et de gérer les processus de sécurité dans l'ensemble de l'entreprise. Pour rester constamment au fait des menaces et des défis en matière de sécurité, Cisco s'appuie sur :

• L'équipe Cisco Information Security (InfoSec) Cloud
• Équipe de réponse aux incidents liés à la sécurité des produits Cisco (PSIRT)
• Responsabilité partagée en matière de sécurité

Cisco InfoSec Cloud

Dirigée par le directeur de la sécurité pour le cloud, cette équipe est chargée de fournir un environnement Webex sécurisé à nos clients. InfoSec y parvient en définissant et en appliquant des processus et des outils de sécurité pour toutes les fonctions impliquées dans la mise à disposition de Webex à ses clients.

De plus, Cisco InfoSec Cloud travaille avec d'autres équipes de Cisco pour répondre à toutes les menaces de sécurité visant le service Webex.

Cisco InfoSec est également responsable de l'amélioration continue de la sécurité de Webex.

Équipe de réponse aux incidents liés à la sécurité des produits Cisco (PSIRT)

Cisco PSIRT est une équipe mondiale dédiée qui gère les flux entrants, les enquêtes et le signalement des problèmes de sécurité liés aux produits et services Cisco. Le PSIRT utilise différents supports pour publier des informations, en fonction de la gravité du problème de sécurité. Le type de reportage varie en fonction des conditions suivantes :

• Des correctifs logiciels ou des solutions de contournement existent pour corriger la vulnérabilité, ou une divulgation publique ultérieure des correctifs de code est prévue pour corriger des vulnérabilités très graves
• Le PSIRT a observé l'exploitation active d'une vulnérabilité susceptible d'accroître les risques pour les clients de Cisco. Le PSIRT pourrait accélérer la publication d'une annonce de sécurité décrivant la vulnérabilité présente dans cette affaire si les correctifs ne sont pas entièrement disponibles.
• La prise de conscience par le public d'une vulnérabilité affectant les produits Cisco peut accroître les risques pour les clients Cisco. Encore une fois, le PSIRT peut alerter les clients, même si les patchs ne sont pas totalement disponibles.

Dans tous les cas, le PSIRT divulgue le minimum d'informations dont les utilisateurs finaux auront besoin pour évaluer l'impact d'une vulnérabilité et prendre les mesures nécessaires pour protéger leur environnement. Le PSIRT utilise l'échelle CVSS (Common Vulnerability Scoring System) pour évaluer la gravité d'un problème divulgué. Le PSIRT ne fournit pas d'informations sur les vulnérabilités qui pourraient permettre à quelqu'un de créer un exploit.

Pour plus d'informations sur le PSIRT, consultez l'équipe de réponse aux incidents de sécurité des produits Cisco.

Responsabilité en matière de sécurité

Bien que chaque membre du groupe Webex soit responsable de la sécurité, les principales règles sont les suivantes :

• Directeur de la sécurité, Cloud
• Vice-présidente et directrice générale des applications de Cisco Cloud collaboration
• Vice-présidente chargée de l'ingénierie et des applications Cisco Cloud collaboratives
• Vice-présidente chargée de la gestion des produits et des applications Cisco Cloud collaboratives

Tests d'intrusion internes et externes

Le groupe Webex effectue régulièrement des tests d'intrusion rigoureux, en faisant appel à des évaluateurs internes. Au-delà de ses propres procédures internes strictes, Cisco InfoSec fait également appel à de nombreux tiers indépendants pour effectuer des audits rigoureux conformément aux politiques, procédures et applications internes de Cisco. Ces audits sont conçus pour valider les exigences de sécurité critiques pour les applications commerciales et gouvernementales. Cisco fait également appel à des fournisseurs tiers pour effectuer des tests d'intrusion et des évaluations de services continus et approfondis assistés par code. Dans le cadre de cet engagement, un tiers effectue les évaluations de sécurité suivantes :

• Identifier les vulnérabilités critiques des applications et des services et proposer des solutions
• Recommander des domaines généraux à améliorer sur le plan architectural
• Identifier les erreurs de codage et fournir des conseils pour améliorer la pratique du codage

Des évaluateurs tiers travaillent directement avec le personnel d'ingénierie de Webex pour expliquer les résultats et valider les mesures correctives. Reportez-vous au Webex MeetingsLetters of Attestation Trust Package pour obtenir des informations sur les attestations relatives aux tests d'intrusion.

Sécurité physique

La sécurité physique du centre de données inclut la vidéosurveillance des installations et des bâtiments et une identification forcée à deux facteurs pour entrer. Dans les centres de données Cisco, l'accès est contrôlé par une combinaison de lecteurs de badges et de commandes biométriques. De plus, les contrôles environnementaux (par exemple, les capteurs de température et les systèmes d'extinction d'incendie) et l'infrastructure de continuité de service (comme l'alimentation de secours) permettent de garantir que les systèmes fonctionnent sans interruption.

Les serveurs des centres de données sont segmentés en « zones de confiance », en fonction de la sensibilité de l'infrastructure. Par exemple, les bases de données sont « mises en cage », l'infrastructure réseau comporte des salles dédiées et tous les équipements sont verrouillés. Seuls le personnel de sécurité de Cisco et les visiteurs autorisés accompagnés du personnel de Cisco peuvent accéder aux centres de données.

Le réseau de production de Cisco est un réseau hautement fiable : très peu de personnes ayant un niveau de confiance élevé y ont accès.

Sécurité de l'infrastructure et de la plateforme

La sécurité de la plateforme englobe la sécurité du réseau, des systèmes et de l'ensemble du centre de données Webex. Tous les systèmes sont soumis à un examen de sécurité approfondi et à une validation d'acceptation avant le déploiement en production, ainsi qu'à un renforcement continu, à des correctifs de sécurité, à une analyse et à une évaluation des vulnérabilités.

Les serveurs sont renforcés conformément aux directives de mise en œuvre technique de sécurité (STIG) publiées par le National Institute of Standards and Technology (NIST). Les pare-feux protègent le périmètre du réseau. Les listes de contrôle d'accès (ACL) séparent les différentes zones de sécurité. Des systèmes de détection d'intrusion (IDS) sont en place et les activités sont signées et surveillées en permanence. Des scans de sécurité internes et externes sont effectués quotidiennement sur Webex. Tous les systèmes sont renforcés et corrigés dans le cadre d'une maintenance régulière. De plus, des analyses et des évaluations des vulnérabilités sont effectuées en permanence.

La continuité du service et la reprise après sinistre sont des éléments essentiels de la planification de la sécurité. La conception des centres de données Cisco dotés de sauvegardes de sites dans le monde entier et d'une haute disponibilité permet le basculement géographique des services Webex. Il n'y a pas de point de défaillance unique.

Données administratives

Informations concernant les employés ou les représentants d'un client ou d'un autre tiers collectées et utilisées par Cisco afin d'administrer ou de gérer la fourniture de produits ou de services par Cisco, ou pour administrer ou gérer le compte du client ou d'un tiers aux fins commerciales de Cisco.

Les données administratives peuvent inclure le nom, l'adresse, le numéro de téléphone, l'adresse e-mail et des informations sur les engagements contractuels entre Cisco et un tiers, qu'elles aient été collectées lors de l'enregistrement initial ou ultérieurement dans le cadre de la gestion ou de l'administration des produits ou services de Cisco.

Les données administratives peuvent également inclure le titre, l'heure et d'autres caractéristiques des réunions organisées sur Webex par les employés ou les représentants d'un client. D'autres exemples de données administratives peuvent inclure le titre de la réunion, l'heure de la réunion et d'autres attributs des réunions organisées sur Webex.

Données clients

Cela inclut toutes les données (y compris le texte, le son, la vidéo, les fichiers images et les enregistrements) qui sont soit fournies à Cisco par un client dans le cadre de l'utilisation des produits ou services Cisco, soit développées par Cisco à la demande spécifique d'un client conformément à un cahier des charges ou à un contrat.

Les données clients incluent également les fichiers journaux, de configuration ou de firmware, ainsi que les fichiers core dumps.

Il s'agit de données extraites d'un produit ou d'un service et fournies à Cisco pour nous aider à résoudre un problème lié à une demande d'assistance. Les données clients n'incluent pas les données administratives, les données d'assistance ou les données de télémétrie.

Données d'assistance

Les informations que Cisco collecte lorsqu'un client soumet une demande de services d'assistance ou d'autre type de dépannage, y compris des informations concernant le matériel ou les logiciels. Il inclut des informations relatives à l'incident d'assistance, telles que des informations d'authentification, des informations sur l'état du produit, du système et des données de registre sur les installations logicielles et les configurations matérielles, et des fichiers de suivi des erreurs. Les données d'assistance n'incluent pas les fichiers journaux, de configuration ou de firmware, ni les fichiers de base extraits d'un produit et qui nous ont été fournis pour nous aider à résoudre un problème lié à une demande d'assistance. Ce sont tous des exemples de données clients.

Données de télémétrie

Informations générées par les systèmes d'instrumentation et d'enregistrement créés lors de l'utilisation et du fonctionnement du produit ou du service.

Toutes les données collectées dans le cloud Webex sont protégées par plusieurs couches de technologies et de processus de sécurité robustes. Vous trouverez ci-dessous des exemples de contrôles placés à différents niveaux des opérations de Webex afin de protéger les données des clients :

• Contrôle d'accès physique — L'accès physique est contrôlé par la biométrie, des badges et la vidéosurveillance. L'accès au centre de données nécessite des autorisations et est géré par le biais d'un système de billetterie électronique.
• Contrôle d'accès au réseau — Le périmètre du réseau Webex est protégé par des pare-feux. Tout trafic réseau entrant ou sortant du centre de données Webex est surveillé en permanence à l'aide d'un système de détection d'intrusion (IDS). Le réseau Webex est également segmenté en zones de sécurité distinctes. Le trafic entre les zones est contrôlé par des pare-feux et des listes de contrôle d'accès (ACL).
• Contrôles de gestion et de surveillance de l'infrastructure — Chaque composant de l'infrastructure, y compris les périphériques réseau, les serveurs d'applications et les bases de données, est soumis à des directives strictes. Ils sont également soumis à des scans réguliers afin d'identifier et de résoudre tout problème de sécurité.
• Contrôles cryptographiques — Comme indiqué précédemment, toutes les données à destination et en provenance du centre de données Webex vers les applications Webex et les appareils Webex enregistrés dans le cloud sont cryptées, à l'exception du trafic PSTN et des appareils vidéo SIP/H323 non chiffrés lors d'une réunion sur le cloud. De plus, les données critiques stockées dans Webex, telles que les mots de passe, sont cryptées.

Les employés de Cisco n'accèdent pas aux données des clients, sauf si le client en fait la demande pour des raisons d'assistance. Dans ce cas, l'accès aux systèmes est autorisé par le responsable uniquement conformément au principe de « séparation des tâches ». Il n'est accordé que sur la base du besoin et avec uniquement le niveau d'accès requis pour faire le travail. L'accès des employés à ces systèmes est également régulièrement revu pour des raisons de conformité. Les employés ayant un tel accès sont tenus de suivre la formation annuelle de sensibilisation à la sécurité de l'information de l'Organisation internationale de normalisation (ISO) 27001.

Outre ces contrôles spécialisés, chaque employé de Cisco est soumis à une vérification de ses antécédents, signe un accord de confidentialité (NDA) et suit une formation sur le Code de conduite professionnelle (COBC).

Loi sur la portabilité et la responsabilité en matière d'assurance maladie (HIPAA)

Cisco peut fournir des informations concernant les fonctionnalités, la technologie et la sécurité de Webex. Une entité couverte par la loi HIPAA devrait consulter son propre conseiller juridique pour déterminer si les fonctionnalités de Webex sont conformes à ses processus commerciaux et conformes au RGPD.

• Conformité au RGPD
• Divulgation de l'Webex Meetingsoffre de Cisco

Normes et certifications du secteur

En plus de se conformer à nos normes internes strictes, Webex propose en permanence des validations par des tiers pour démontrer son engagement en matière de sécurité de l'information. Webex c'est :

• Certifiée ISO 27001, 27017, 27018 et 27701
• Contrôle de l'organisation des services (SOC) 2, type II, audité
• Certifiée SOC 3
• Code de conduite du cloud
• CSTAR
• Attestation du catalogue des contrôles de conformité du cloud computing (C5)
• Certifiée FedRAMP (rendez-vous sur cisco.com/go/fedramp pour plus de détails, de portée et de disponibilité)

Consultez le Cisco Trust Portal pour obtenir un ensemble complet de documents relatifs à la sécurité, à la confidentialité et à la conformité, y compris des informations sur les normes et certifications ci-dessus.